İki adımlı doğrulama nedir? Hesaplarınızı nasıl korur

İki adımlı doğrulama, bir hesaba girerken şifrenin yanında ikinci ve farklı türde bir kanıt da isteyen bir güvenlik yöntemidir: telefonunuza gelen kod, bir uygulamadaki onay ya da fiziksel bir anahtar gibi. Böylece şifreniz başkasının eline geçse bile, ikinci kanıta sahip olmayan kişi hesabınıza giremez.

İki adımlı doğrulama nedir, hangi faktörlere dayanır?

İki adımlı doğrulama, bir sistemin "siz olduğunuzu" anlamak için kullandığı üç kanıt türünden, yani kimlik doğrulama faktörlerinden ikisini birden isteyen giriş yöntemidir. Bu üç faktör bildiğiniz, sahip olduğunuz ve olduğunuz şeydir; yöntemin gücü, birbirinden farklı türde iki kanıtı birleştirmesinden gelir.

• Bilgi faktörü (bildiğiniz şey): Şifre, PIN, güvenlik sorusuna verdiğiniz yanıt.
• Sahiplik faktörü (sahip olduğunuz şey): Telefonunuz, telefondaki bir uygulama, fiziksel güvenlik anahtarı, akıllı kart.
• Biyometri faktörü (olduğunuz şey): Parmak izi, yüz tanıma.

Aynı türden iki kanıt, iki faktör sayılmaz. Örneğin şifre ile güvenlik sorusu birlikte istense de ikisi de "bildiğiniz şey" olduğu için oltalama sayfası ikisini de aynı anda toplayabilir. Gerçek koruma, saldırganın uzaktan ele geçiremeyeceği bir şeyin, yani genellikle cihazınızın devreye girmesiyle başlar.

İki adımlı doğrulama nasıl işler?

İki adımlı doğrulama, şifrenizi doğru girdiğinizde sistemin ikinci bir kanıt istemesi ve bu kanıt da doğrulanmadan oturumu açmaması şeklinde işler. Arka plandaki mantık yönteme göre küçük farklar gösterir:

1. Kullanıcı adınızı ve şifrenizi girersiniz; sistem şifreyi doğrular.
2. Sistem, hesabınıza önceden bağladığınız ikinci faktörü ister.
3. SMS yönteminde kayıtlı numaranıza tek kullanımlık bir kod gönderilir.
4. Doğrulama uygulamasında kod internet bağlantısı gerekmeden telefonunuzda üretilir; kod kısa aralıklarla değişir ve kurulum sırasında paylaşılan gizli bir anahtar ile saatten hesaplanır.
5. Bildirim onayında telefonunuza "Giriş yapan siz misiniz?" sorusu gelir, onaylarsınız.
6. Güvenlik anahtarında anahtar, kurulumda kaydedildiği sitenin adresine bağlanır; tarayıcı girişin yapıldığı adresi anahtara iletir ve farklı bir adreste o hesap için geçerli imza üretilmez.
7. İkinci adım da doğrulanınca oturum açılır. Pek çok hizmet, güvendiğiniz cihazı bir süre "hatırlayarak" her girişte ikinci adımı sormaz.

Burada ince ama önemli bir ayrım vardır: SMS kodu ve uygulama kodu, sizin bir yere yazdığınız kodlardır; yanlış siteye de yazılabilirler. Güvenlik anahtarında ise kodu siz yazmazsınız; onay, sitenin adresine bağlı olarak üretilir. Bu yüzden oltalamaya karşı en dirençli yöntemler, güvenlik anahtarı ve aynı mantıkla çalışan geçiş anahtarıdır.

İki adımlı doğrulama her girişte sorulur mu?

Çoğu hizmette hayır; ikinci adım yeni bir cihazdan, yeni bir tarayıcıdan ya da uzun aradan sonra giriş yapıldığında sorulur. Güvendiğiniz cihazı işaretlediğinizde hizmet o cihazı bir süre hatırlar. Bu kolaylık, ortak kullanılan bilgisayarlarda tehlikeye dönüşür: kütüphane, iş yeri ya da başkasının bilgisayarında "bu cihazı hatırla" seçeneğini işaretlemeyin ve işiniz bitince oturumu kapatın.

Hangi doğrulama yöntemi daha güvenli? Karşılaştırma tablosu

Oltalamaya en dirençli seçenekler fiziksel güvenlik anahtarı ve geçiş anahtarıdır; en yaygın ve en kolay seçenek SMS kodudur. Doğrulama uygulaması bu ikisinin arasında yer alır ve çoğu kişi için dengeli bir tercihtir. Aşağıdaki tablo yöntemleri yan yana koyar.

Bildirim onayında bazı hizmetler, giriş ekranında görünen bir sayıyı telefonda seçmenizi ister. Bu ek adım, sizin başlatmadığınız bir girişi dalgınlıkla onaylamanızı zorlaştırır. Yine de kural değişmez: o anda giriş yapmıyorsanız gelen onay isteğini reddedin ve şifrenizi değiştirin; beklemediğiniz bir onay isteği, şifrenizin başkasının elinde olduğunu gösterebilir.

SMS ile doğrulama güvenli mi?

SMS ile doğrulama, hiç ikinci adım olmamasından çok daha güvenlidir; ama yöntemler arasında en zayıf olanıdır. Zayıflığın iki kaynağı vardır. Birincisi, kodu isteyen sahte bir sayfa ya da sahte bir arayan kodu sizden alabilir. İkincisi, telefon hattınızın sahte belgelerle başka bir SIM karta taşınması (SIM değiştirme, "SIM swap") durumunda kodlar saldırgana gider. Bu ikinci risk daha az karşılaşılan ama sonuçları ağır bir risk olduğu için, değerli hesaplarda doğrulama uygulaması ya da anahtar tercih edilir.

İki adımlı doğrulama nedir, geçiş anahtarı ondan nasıl ayrılır?

Geçiş anahtarı (passkey), şifre yerine cihazınızda saklanan ve yalnızca kaydedildiği sitenin adresinde çalışan dijital bir anahtardır; iki adımlı doğrulamanın üstüne eklenen bir katman değil, şifreli girişin yerine geçebilen bir giriş yöntemidir. Kurulumda cihazınız bir anahtar çifti üretir: gizli parça cihazda kalır, siteye yalnızca açık parça verilir. Giriş sırasında cihaz, ekran kilidinizi (parmak izi, yüz tanıma ya da PIN) açmanızı ister ve gizli parçayı siteye göstermeden bir onay gönderir. Böylece iki faktör tek harekette birleşir: cihaza sahip olmanız ve onu açabilmeniz. Parmak iziniz ya da yüz verileriniz siteye gönderilmez; yalnızca cihazın kilidini açmak için kullanılır. Sahte bir sayfada geçerli onay üretilmediği için oltalamaya karşı güvenlik anahtarına benzer bir direnç sağlar. Bazı sistemlerde geçiş anahtarları hesabınıza bağlı cihazlar arasında eşitlenir; bu durumda o hesabın güvenliği ve telefon kaybındaki erişim planı da önem kazanır.

İki adımlı doğrulama hangi hesaplarda önce açılmalı?

İki adımlı doğrulamayı önce, ele geçirildiğinde diğer hesaplarınızı da açan hesaplarda kullanmalısınız; bunların başında e-posta gelir. Sıralama "hangi hesap düşerse zincirleme zarar verir?" sorusuna göre yapılır.

1. Ana e-posta hesabınız: Diğer tüm hesapların şifre sıfırlama bağlantıları buraya gelir.
2. Bankacılık ve ödeme hesapları: Doğrudan maddi kayıp riski taşır; bankanız zaten ikinci adım kullanıyorsa yöntemini gözden geçirin.
3. Mesajlaşma uygulamaları: Ele geçirilirse kişi listenize sizin adınızla mesaj atılabilir.
4. Sosyal medya hesapları: Kimliğinizin taklidi ve çevrenize yönelik dolandırıcılık için kullanılabilir.
5. Bulut depolama ve şifre yöneticisi: Belgeleriniz, fotoğraflarınız ve diğer şifreleriniz buradadır.

Bu sıralamanın, güncellemeler ve aile içi kurallar gibi diğer adımlarla birlikte nasıl bir öncelik merdiveni oluşturduğunu Dijital Güvenlik dosyasında görebilirsiniz.

İkinci adım, zayıf şifrenin yerine geçmez. İki katmanın birlikte çalışması gerekir; şifrenin nasıl kurulacağı güçlü şifre oluşturma rehberinde adım adım anlatılıyor.

İki adımlı doğrulamayı kurarken nelere dikkat edilir?

Kurulum anı, ikinci adımın en savunmasız olduğu andır; bu yüzden işlemi yalnızca kendi cihazınızda ve hesabın ayarlarına kendiniz girerek yapın. Doğrulama uygulamasını bağlarken ekranda görünen karekod ya da uzun metin anahtar, kod üretecinin kaynağıdır; onu ele geçiren biri sizinle aynı kodları üretebilir. Bu nedenle kurulum ekranının görüntüsünü kimseyle paylaşmayın, telefonda ya da ortak klasörlerde bırakmayın. Kurulumun sonunda hizmet sizden bir deneme kodu ister; bu adımı tamamlamadan pencereyi kapatmayın. Sunulan yedek kodları da kurulumla aynı anda kaydedin; sonraya bırakılan yedek çoğu zaman unutulur.

İki adımlı doğrulama ile sık karıştırılan kavramlar

İki adımlı doğrulama en çok "iki aşamalı giriş", "tek kullanımlık şifre" ve "biyometrik kilit" ile karıştırılır; aradaki fark, kanıtların farklı türden olup olmamasıdır.

Haberde nasıl geçer?

Haberlerde iki adımlı doğrulama genellikle bir hesap ele geçirme olayının ardından tavsiye olarak geçer. Kurgusal örnek cümle: "Kurum, kullanıcılarına hesap güvenliği için iki adımlı doğrulamayı etkinleştirmelerini ve kendilerine gelen doğrulama kodlarını kimseyle paylaşmamalarını hatırlattı." Bu cümlede kastedilen, şifreye ek olarak telefon ya da anahtar gibi ikinci bir kanıtın devreye alınmasıdır. Oltalama haberlerinde ise "saldırganlar kullanıcılardan doğrulama kodlarını da istedi" ifadesi sık görülür; bu, ikinci adımın kod tabanlı yöntemlerinin sahte sayfalara karşı tam koruma sağlamadığını gösterir. Sahte sayfaların nasıl tanınacağı oltalama rehberinde anlatılıyor.

Telefonunuz kaybolursa: yedek kod planı

Telefonunuz kaybolduğunda hesaplarınıza dönebilmenin yolu, bu olay yaşanmadan önce hazırlanmış bir yedek planıdır; plan yoksa hesap kurtarma uzun ve belirsiz bir sürece dönüşebilir. Yedek planını bugünden kurmak için şu adımları izleyin:

1. Yedek kodları indirin. İki adımlı doğrulamayı açtığınız her hesapta sunulan tek kullanımlık yedek kodları kaydedin.
2. Kodları telefon dışında saklayın. Kâğıda yazıp evde güvenli bir yere koyun ya da şifre yöneticisinde tutun; aynı telefonda bırakmak plansızlıkla aynıdır.
3. İkinci bir yöntem ekleyin. Mümkünse ikinci bir güvenlik anahtarı ya da ikinci bir cihazı yedek yöntem olarak tanımlayın.
4. Kurtarma bilgilerini güncelleyin. Kurtarma e-postası ve telefon numarasının güncel ve size ait olduğundan emin olun.
5. Doğrulama uygulamasının taşıma seçeneğini öğrenin. Telefon değiştirirken kodların yeni cihaza nasıl aktarılacağını, eski telefonu sıfırlamadan önce kontrol edin.
6. Kayıp anında hattı kapattırın. Telefon çalındıysa operatörünüzün resmî kanalından hattı geçici olarak kapattırın; böylece SMS kodları başkasının eline geçmez.
7. Oturumları uzaktan kapatın. Başka bir cihazdan hesaplarınıza yedek kodla girip kayıp telefondaki açık oturumları sonlandırın.

Bu yedi adımı tamamladığınızda iki adımlı doğrulama sizi hesabınızdan kilitlemeyen, yalnızca yabancıları dışarıda tutan bir korumaya dönüşür.